Dvi kritinės PHP spragos sukėlė pasaulinį skubėjimą atnaujinti serverius: pažeidžiamos sistemos gali būti perimtos be slaptažodžio

Interneto svetainių administratoriai ir IT infrastruktūros komandos visame pasaulyje buvo priverstos skubiai atnaujinti PHP sistemas po dviejų kritinių saugumo spragų atskleidimo.

Reklama

Pažeidžiamumai pažymėti CVE-2026-109618 ir CVE-2026-109619. PHP kūrėjai oficialiai perspėja, kad tam tikromis sąlygomis jie gali leisti neautentifikuotam užpuolikui nuotoliniu būdu vykdyti kodą serveryje.

Paprasčiau tariant – pažeidžiama interneto sistema teoriškai gali būti perimta nežinant jos administratoriaus slaptažodžio.

PHP naudojamas milžiniškoje interneto dalyje

PHP yra viena seniausių ir plačiausiai naudojamų interneto programavimo technologijų. Ja paremta daugybė turinio valdymo sistemų ir individualių svetainių.

Todėl kritinė spraga PHP ekosistemoje nėra vien nišinė programuotojų problema.

Ji gali paveikti:

• interneto parduotuves
• naujienų portalus
• įmonių svetaines
• vidines verslo sistemas
• valstybines paslaugas
• prie interneto prijungtus serverius.

Oficialus PHP perspėjimas – atnaujinimas yra vienintelis saugus kelias

PHP kūrėjų komanda išleido saugumo atnaujinimus kelioms palaikomoms versijoms.

Tarp jų:

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12.

Oficialiame pranešime pabrėžiama, kad nėra pilnaverčio alternatyvaus sprendimo, todėl saugus pasirinkimas yra atnaujinti PHP.

Kodėl spragos sukėlė tiek triukšmo?

„TechCrunch“ šį incidentą pavadino „PHP-ocalypse“ ir atkreipė dėmesį, kad pažeidžiamumai technologijoje galėjo egzistuoti labai ilgą laiką.

Dar viena įdomi detalė – tyrėjai naudojo šiuolaikinius DI įrankius pažeidžiamumo išnaudojimo analizei.

Tai rodo naują kibernetinio saugumo realybę: dirbtinis intelektas padeda ir saugumo tyrėjams, ir potencialiems užpuolikams daug greičiau analizuoti seną programinę įrangą.

Ką turi padaryti Lietuvos verslai?

Įmonėms verta nedelsiant patikrinti:

• kokia PHP versija veikia serveryje
• ar hostingo tiekėjas jau pritaikė saugumo pataisą
• ar naudojamos senos ir nebepalaikomos PHP versijos
• ar nėra neįprastų prisijungimų ir serverio pakeitimų
• ar veikia atsarginės kopijos.

WordPress svetainių savininkams svarbu suprasti, kad WordPress atnaujinimas nėra tas pats, kas PHP atnaujinimas – PHP versija dažniausiai valdoma serverio arba hostingo lygiu.

DI keičia kibernetinio saugumo ekonomiką

Iki šiol senoje programinėje įrangoje pažeidžiamumų paieška galėjo reikalauti daug rankinio ekspertų darbo.

DI modeliai gali smarkiai pagreitinti analizę, todėl tikėtina, kad ateityje bus atrasta daugiau ilgai nepastebėtų spragų.

Verslui tai reiškia, kad „veikia – neliesk“ požiūris į IT infrastruktūrą tampa vis pavojingesnis.

Šaltiniai: PHP; PHP; TechCrunch.